विभिन्न वेब सर्वर के लिए सर्वर HTTP हैडर प्रतिस्थापन

नमस्कार, हाबराचित्तली।

अधिकांश (यदि सभी नहीं) वेब सर्वर, HTTP अनुरोध का जवाब देते समय, सर्वर हेडर का उपयोग करके डिफ़ॉल्ट रूप से स्वयं को घोषित करते हैं, जो उपयोग किए गए सॉफ़्टवेयर का सबसे अच्छा नाम देता है, और सबसे अच्छा - संस्करण, मॉड्यूल का उपयोग किया जाता है, आदि। उन्हें मोज़िला फ़ायरफ़ॉक्स के लिए सर्वर स्पाई जैसे ऐड-ऑन का उपयोग करके आसानी से देखा जा सकता है।



लेकिन सभी वेब सर्वर एक निर्देश के साथ स्पष्ट रूप से इस व्यवहार को बंद करने की अनुमति नहीं देते हैं। मेरी राय में, यह एक संभावित सुरक्षा छेद है। यह आलेख दिखाता है कि सर्वर हैडर को भेजने को कैसे निष्क्रिय किया जाए या लाइटटपैड, नग्नेक्स, अपाचे, जी-वान सर्वरों के लिए एक मनमाना के साथ इसके मूल्य को प्रतिस्थापित किया जाए।
कटौती के तहत अधिक जानकारी।

lighttpd

लाइटटैप विन्यास फाइल में सूचीबद्ध एकमात्र सर्वर है जो सर्वर हेडर स्पूफिंग के लिए प्रदान करता है। यह इस तरह दिखता है:
server.tag = "gws"

nginx

Nginx वेब सर्वर में सर्वर हेडर को कैसे बदलना है, इस बारे में वेब निर्देशों पर एक बार से अधिक मुलाकात हुई। सब कुछ माथे में किया जाता है - स्रोत में मान के प्रतिस्थापन और पुनर्संयोजन की सहायता से। उदाहरण के लिए www.xakep.ru/post/54168
एक सरल विधि है। आप HttpHeadersModule मॉड्यूल या HttpHeadersMoreModule मॉड्यूल या किसी भी HttpHeadersMoreModule मॉड्यूल का उपयोग करके अधिक सरल विकल्प के संयोजन का उपयोग करके परिणाम प्राप्त कर सकते हैं।

HttpHeadersModule और HttpHeadersMoreModule मॉड्यूल के संयोजन का उपयोग करना:
# Server
more_clear_headers 'Server';
#
add_header Server gws;

एक एकल HttpHeadersMoreModule के साथ:
# HttpHeadersMoreModule
more_set_headers 'Server: my-server';

अपाचे

अपाचे वेब सर्वर में, सर्वर हेडर की सामग्री को सर्वरटोकेंस का उपयोग करके कॉन्फ़िगर किया गया है
डिफ़ॉल्ट मान पूर्ण है। Apache / 2.4.1 (Unix) PHP / 4.2.2 MyMod / 1.2 जैसी जानकारी दिखाता है
न्यूनतम जो कम किया जा सकता है वह अपाचे है। Mod_header का उपयोग करके मैंने Nginx के समान कॉन्फ़िगरेशन बनाने का प्रयास किया। विफल - Apache सेटिंग्स को अनदेखा करता है और ServerTokens और ServerSignature के अनुसार सर्वर मान को लगातार सेट करता रहता है।
मुझे mod_security डालनी थी और कॉन्फ़िगरेशन में लाइन जोड़ना था:
SecServerSignature "gws"
यह अर्जित किया।

जी वान

जी-वान के मामले में, इस तरह का विन्यास मौजूद नहीं है। हैंडलर में C कोड इस तरह दिखता है:

xbuf_xcat(get_reply(argv),
"HTTP/1.1 200 OK\r\n"
"Content-type: text/html\r\n"
"Content-Length: 20\r\n"
"Server: gws\r\n"
"Connection: keep-alive\r\n\r\n"
"Hello, World");

// set the HTTP reply code
int *pHTTP_status = (int*)get_env(argv, HTTP_CODE);
if(pHTTP_status)
*pHTTP_status = 200; // 200:OK
return 2;

G-WAN की स्थापना की सूक्ष्मताएं इस लेख का विषय नहीं हैं, इसलिए मैं विवरण में नहीं जाता हूं।

टिप्पणी

यह आलेख उन वेब सर्वरों पर चर्चा करता है जिनके साथ मैं काम करता हूं, और परीक्षण के लिए अलग से सॉफ़्टवेयर स्थापित करना आवश्यक नहीं था। यदि, सादृश्य द्वारा, आप किसी अन्य वेब सर्वर को कॉन्फ़िगर करते हैं - लिखें, मैं लेख को पूरक करूंगा।